CVE-2019-25091lowCWE-1004

CVE-2019-25091: falha de baixa gravidade em nsupdate.info

nsupdate.info CSRF Cookie base.py cookie httponly flag

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar nsupdate.info+ Monitorar nsupdate

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

8Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 3.7epss 0.7%
Em resumo

O cookie de proteção CSRF do nsupdate.info estava sem a flag 'httponly', permitindo que códigos JavaScript o acessem. Isso aumenta o risco de roubo de cookies por ataques de injeção de scripts.

Detalhe técnico

A configuração CSRF_COOKIE_HTTPONLY em src/nsupdate/settings/base.py não estava devidamente configurada, permitindo que cookies de proteção CSRF fossem acessíveis via JavaScript. Um atacante explorando vulnerabilidades de XSS poderia roubar tokens de sessão. O problema foi corrigido no commit 60a3fe559c453bc36b0ec3e5dd39c1303640a59a.

Resumo gerado e traduzido por IA a partir da descrição oficial.
A vulnerability classified as problematic has been found in nsupdate.info. This affects an unknown part of the file src/nsupdate/settings/base.py of the component CSRF Cookie Handler. The manipulation of the argument CSRF_COOKIE_HTTPONLY leads to cookie without 'httponly' flag. It is possible to initiate the attack remotely. The name of the patch is 60a3fe559c453bc36b0ec3e5dd39c1303640a59a. It is recommended to apply a patch to fix this issue. The identifier VDB-216909 was assigned to this vulnerability.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Produtos afetados
n/a · nsupdate.info